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Auswirkungen der Datenschutz-Grundverordnung auf kleine und mittlere 
Unternehmen 


Vorbemerkung der Fragesteller 

Seit einem Jahr ist die Datenschutz-Grundverordnung (DSGVO) in Kraft. Mit 
der Umsetzung zum 25. Mai 2018 verbinden insbesondere kleine und mittlere 
Betriebe aus Handwerk und Mittelstand, aber auch Vereine nicht nur Daten¬ 
schutz und eine höhere Sensibilisierung für das Thema, sondern vor allem auch 
viel Aufwand bei der technischen Realisierung und drastisch erhöhte Sanktio¬ 
nen (4 Prozent des weltweiten Jahresumsatzes; www.handelsblatt.com/politik/ 
deutschland/datenschutz-verwirrung-und-unsicherheit-ein-jahr-dsgvo/24361014. 
html?ticket=ST-489304-KvN2LhhFco6S5JtTKRxe-ap6). 

Im Zusammenhang mit der bisher vielfach gängigen Abmahnpraxis u. a. durch 
sog. Abmahnvereine war vielfach die Furcht verbunden, dass es zu einer Ab- 
mahnflut aufgrund unsachgemäßer Angaben auf Webseiten oder bei Speiche¬ 
rung personenbezogener Daten kommen könnte. Trotz Auflistung im Koaliti¬ 
onsvertrag zwischen CDU, CSU und SPD und langer Ankündigung hat die Bun¬ 
desministerin der Justiz und für Verbraucherschutz Dr. Katarina Barley erst 
kurz vor der Europawahl 2019 einen Entwurf für ein „Gesetz zur Stärkung des 
fairen Wettbewerbs“ vorgelegt, wonach insbesondere kleine Unternehmen wie 
Handwerksbetriebe und Vereine zwar abgemahnt werden dürfen, zunächst aber 
keine Abmahngebühren anfallen. Wirtschaftsverbände hatten ein generelles Ab¬ 
mahnverbot für alle Unternehmen durch Wettbewerber gefordert (www.handeis 
blatt.com/politik/deutschland/datenschutz-abmahnungen-wirtschaft-kritisiert- 
barleys-gesetz-gegen-abmahnmissbrauch/24345088.html?nlayer=Newsticker_ 
1985586). 

Als Kritikpunkt wird weiterhin beklagt, dass der deutsche Gesetzgeber zudem 
in Teilbereichen über die Verpflichtungen der DSGVO hinausgegangen ist. 
Streitpunkt bleibt hierbei vor allem die Verpflichtung zur Stellung eines Daten¬ 
schutzbeauftragten, sobald zehn Personen ständig mit der automatisierten Ver¬ 
arbeitung personenbezogener Daten beschäftigt sind (§ 38 Absatz 1 Satz 1 des 
Bundesdatenschutzgesetzes - BDSG n. F. - www.handwerksblatt.de/themen- 
specials/5005929-dsgvo-entlastung-kleinerer-untemehmen.html). Infolge der 
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umfassenden EDV-Verarbeitung und Datenspeicherung durch nahezu alle Be¬ 
schäftigten in einem Betrieb bedeutet dies in der Praxis, dass nahezu jeder Be¬ 
trieb ab zehn Beschäftigten einen Datenschutzbeauftragten stellen muss. 

Kleine und mittlere Betriebe beklagen seit der Umsetzung der DSGVO erhebli¬ 
chen Beratungsbedarf, den sie im Zweifelsfall durch eine zunehmend speziali¬ 
sierte Beratungsbranche decken, die ihre Angebote darauf ausgerichtet hat. 
Gleichzeitig fehlen immer noch Zertifizierungen von Datenschutzbeauftragten, 
wodurch Qualitätsunterschiede schwer zu erkennen sind (https://rp-online.de/ 
politik/deutschland/dsgvo-datenschutz-verordnung-sorgt-fuer-boom-bei- 
beratungen_aid-38948975). 


1. Sind der Bundesregierung die Gesamtkosten bekannt, die die Wirtschaft bei 
der Umstellung auf die DSGVO aufwenden musste? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 


2. Welche Mittel wurden nach Kenntnis der Bundesregierung hierfür insbeson¬ 
dere bei KMU (kleine und mittlere Unternehmen) aus Handwerk und Mit¬ 
telstand aufgewandt (bitte nach Branchen und Betriebsgrößen unterteilen)? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 


3. Wie groß ist nach Kenntnis der Bundesregierung der Beratungsaufwand, und 
wie gut ist der Versorgungsgrad durch Stellen, wie Kammern oder öffentli¬ 
che Datenschutzämter? 

Der Bundesregierung liegen hierzu keine gesammelten Erkenntnisse vor. Die Da¬ 
tenschutzaufsichtsbehörden des Bundes und der Länder sind gemäß den EU¬ 
rechtlichen Vorgaben unabhängige Behörden. Die Ausstattung mit den erforder¬ 
lichen Personal- und Sachmitteln zur Erfüllung ihres Beratungsaufwandes müs¬ 
sen sie selbständig bei den für die Aufstellung des Haushaltsplans zuständigen 
Finanzministerien anmelden. Über den Haushaltsplan entscheidet das jeweilige 
Parlament. 


4. Wie ist nach Kenntnis der Bundesregierung die Entwicklung der Beratungs¬ 
branche seit Inkrafttreten der DSGVO, was den Bereich des Datenschutzes 
betrifft? 

Der Bundesregierung liegen keine Erkenntnisse vor. 


5. Welche Maßnahmen hat die Bundesregierung im Nachgang seit Mai 2018 
unternommen, um weiterhin Unternehmen für die Bedeutung des Daten¬ 
schutzes zu sensibilisieren? 

Die Bundesregiemng hat vor und auch nach Mai 2018 den in der zweijährigen 
Umstellungsphase auf die Datenschutz-Grundverordnung (DSGVO ) begonnenen 
engen Austausch mit Unternehmen, Wirtschaftsverbänden und Kammern zu Fra¬ 
gen der Umsetzung fortgesetzt. Hierbei sind insbesondere die „Road Show“ und 
die „Round-Table-Gespräche zum Datenschutz“ hervorzuheben. 

Bei der „Road Show“ handelt es sich um eine Informationsveranstaltung zur 
DSGVO, die das Bundesministerium für Wirtschaft und Energie gemeinsam mit 
dem Deutschen Industrie- und Handelskammertag von Februar bis Mai 2018 
deutschlandweit mit einem abteilungsübergreifenden Referentenpool bei insge¬ 
samt 31 regionalen Industrie- und Handelskammern vor Ort durchgeführt hat. 
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Seit Oktober 2017 veranstalten das Bundesministerium des Innern, für Bau und 
Heimat und das Bundesministerium für Wirtschaft und Energie gemeinsam die 
„Round-Table-Gespräche zum Datenschutz“. Dabei handelt es sich um eine Dia¬ 
logreihe zur Umsetzung der DSGVO mit Vertreterinnen und Vertretern der Wirt¬ 
schaft, der Datenschutzaufsichtsbehörden und der Zivilgesellschaft. Die Dialog¬ 
reihe findet etwa halbjährlich zu aktuellen Themen, wie z. B. der Gefahr miss¬ 
bräuchlicher Abmahnungen und Sanktionen (Gespräch am 2. Oktober 2018) und 
vor dem Hintergrund des Brexit zu den rechtlichen Möglichkeiten für internatio¬ 
nale Datentransfers nach der DSGVO (Gespräch am 7. März 2019) statt. Die Bun¬ 
desregierung beabsichtigt, das Gesprächsformat im zweiten Halbjahr 2019 fort¬ 
zuführen. Dabei soll voraussichtlich die Evaluierung der DSGVO durch die Eu¬ 
ropäische Kommission thematisiert werden. 


6. Ist der Bundesregierung bekannt, ob es aufgrund der DSGVO für kleine und 
mittelständische Unternehmen zu höheren Bußgeldern als bisher in der Pra¬ 
xis gekommen ist? 

Wenn ja, wie hoch sind diese? 

Wenn nein, gibt es die Absicht einer Evaluierung der Folgen der DSGVO 
für KMU? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 

Die Evaluierung der DSGVO obliegt der Europäischen Kommission. Die 
DSGVO bestimmt in Artikel 97, dass die Europäische Kommission zum 25. Mai 
2020 und danach alle vier Jahre dem Europäischen Parlament und dem Rat einen 
Bericht über die Bewertung und Überprüfüng der Verordnung vorlegt. Zur Vor¬ 
bereitung und Begleitung der Evaluiemng hat die Europäische Kommission eine 
halbjährlich tagende Multi-Stakeholder-Gruppe eingesetzt, die sich aus Vertrete¬ 
rinnen und Vertretern der Wissenschaft, von Wirtschafts-, Verbraucher- und Da¬ 
tenschutzverbänden sowie von Rechtsanwendem zusammensetzt und die die in 
der Praxis auftretenden Anwendungsprobleme reflektieren soll. Hierzu wurde 
durch die Europäische Kommission ein Fragenkatalog erarbeitet. Einzelheiten zu 
dem Prozess können unter http://ec.europa.eu/transparency/regexpert/index.cfm? 
do=groupDetail.groupDetail&groupID=3537&NewSearch abgerufen werden. 
Darüber hinaus wird die Europäische Kommission die Datenschutzaufsichtsbe¬ 
hörden zu ihren praktischen Aufsichtserfahrungen befragen und Stellungnahmen 
des Europäischen Parlaments und der Agentur für Europäische Grundrechte be¬ 
rücksichtigen. Die Bundesregierung prüft derzeit, ob und wie sie ihre Erfahrun¬ 
gen mit der DSGVO in den Evaluiemngsprozess der Europäischen Kommission 
einbringen wird. 


7. Wie viele Unternehmen mussten aufgrund der neuen Rechtslage nach Ein¬ 
schätzung der Bundesregierung seit dem 25. Mai 2018 einen Datenschutz¬ 
beauftragten gemäß Artikel 37 DSGVO und § 38 BDSG bestellen? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 


8. Hat die Bundesregierung Erkenntnisse, welche Kosten den betroffenen Un¬ 
ternehmen hierdurch zusätzlich entstanden sind? 

Der Bundesregiemng liegen hierzu keine Erkenntnisse vor. 
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9. Hat die Bundesregierung Erkenntnisse, welche Kosten deutschen Unterneh¬ 
men im Vergleich zu Unternehmen in anderen Mitgliedstaaten dadurch ent¬ 
stehen, dass sich der deutsche Gesetzgeber entschieden hat, die Pflicht zur 
Bestellung eines Datenschutzbeauftragten in § 38 BDSG n. F. auf weitere 
Fälle auszuweiten? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 


10. Hält die Bundesregierung die Zahl der Personen, die mit der automatisierten 
Verarbeitung personenbezogener Daten (z. B. Kundendaten in einem Hand¬ 
werksbetrieb, Geschäft oder Versandhandel) umgehen, weiterhin für ein 
sachgerechtes Abgrenzungskriterium? 

Die Zahl der Personen, die mit der automatisierten Verarbeitung personenbezo¬ 
gener Daten beschäftigt sind, ist eines von mehreren Abgrenzungskriterien. Der 
Deutsche Bundestag hat im Rahmen des 2. Datenschutz-Anpassungs- und Um¬ 
setzungsgesetzes EU beschlossen, Ändemngen an dem von der Bundesregierung 
eingebrachten Gesetzentwurf vorzunehmen und den Schwellenwert auf 20 Per¬ 
sonen anzuheben. Diese Ändemng trägt den Veränderungen aufgmnd der Digi¬ 
talisierung des Geschäftsverkehrs Rechnung. 


11. Beabsichtigt die Bundesregierung, das Instrument der Zertifizierung für be¬ 
triebliche Datenschutzbeauftragte einzuführen? 

Die DSGVO benennt die Anfordemngen, die an die Qualifikation des betriebli¬ 
chen Datenschutzbeauftragten zu stellen sind. Nach Artikel 37 Absatz 5 muss der 
betriebliche Datenschutzbeauftragte über das zur Erfüllung seiner Aufgaben er¬ 
forderliche Fachwissen auf dem Gebiet des Datenschutzrechts und der Daten¬ 
schutzpraxis verfügen. Es bleibt abzuwarten, ob der Europäische Datenschutz¬ 
ausschuss im Rahmen seiner Aufgaben nach Artikel 70 Absatz 1 Unterabsatz 1 
Buchstabe e DSGVO Empfehlungen für Anforderungen an die berufliche Quali¬ 
fikation aussprechen wird. Die Bundesregierung sieht vor diesem Hintergrund 
derzeit keine Veranlassung, das Berufsbild des betrieblichen Datenschutzbeauf¬ 
tragten näher auszugestalten und Kriterien für die berufliche Aus- und Fortbil¬ 
dung zum Erwerb der entsprechenden Qualifikation festzulegen. 


12. Beobachtet die Bundesregierung weiterhin die Anpassung des Datenschutz¬ 
rechts in anderen Mitgliedstaaten an die DSGVO sowie die Nutzung der da¬ 
rin enthaltenen Spielräume durch die Gesetzgeber anderer Mitgliedstaaten? 

Wenn ja, wie bewertet sie die dortige Anpassung und Nutzung von Spielräu¬ 
men (z. B. in Österreich)? 

Die Überwachung der ordnungsgemäßen Umsetzung von EU-Rechtsvorschriften 
obliegt der Europäischen Kommission. Es ist daher nicht Aufgabe der Bundesre¬ 
gierung, die Anpassung des Datenschutzrechts in anderen Mitgliedstaaten an die 
DSGVO sowie die Nutzung der darin enthaltenden Spielräume durch die Gesetz¬ 
geber anderer Mitgliedstaaten zu bewerten. 
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